Internet Information Services (IIS) 7.0

Transkrypt

1 Vademecum administratora Internet Information Services (IIS) 7.0 William R. Stanek

2 Vademecum administratora Internet Information Services (IIS) 7.0 Edycja polska Microsoft Press Tytuł oryginału: Internet Information Services (IIS) 7.0 Administrator s Pocket Consultant Original English language edition copyright 2008 by William R. Stanek Polish edition by APN PROMISE Sp. z o.o. Warszawa 2008 APN PROMISE Sp. z o. o., biuro: Warszawa, ul. Zielna 39 tel. (022) , faks (022) mspress@promise.pl Wszystkie prawa zastrzeżone. Żadna część niniejszej książki nie może być powielana ani rozpowszechniana w jakiejkolwiek formie i w jakikolwiek sposób (elektroniczny, mechaniczny), włącznie z fotokopiowaniem, nagrywaniem na taśmy lub przy użyciu innych systemów bez pisemnej zgody wydawcy. Microsoft, Microsoft Press, Active Directory, Authenticode, Internet Explorer, Jscript, SharePoint, SQL Server, Visual Basic, Visual C#, Win32, Windows, Windows CardSpace, Windows NT, Windows PowerShell, Windows Server oraz Windows Vista są zarejestrowanymi znakami towarowymi Microsoft Corporation. Wszystkie inne nazwy handlowe i towarowe występujące w niniejszej publikacji mogą być znakami towarowymi zastrzeżonymi lub nazwami zastrzeżonymi odpowiednich firm odnośnych właścicieli. Przykłady firm, produktów, osób i wydarzeń opisane w niniejszej książce są fikcyjne i nie odnoszą się do żadnych konkretnych firm, produktów, osób i wydarzeń. Ewentualne podobieństwo do jakiejkolwiek rzeczywistej firmy, organizacji, produktu, nazwy domeny, adresu poczty elektronicznej, logo, osoby, miejsca lub zdarzenia jest przypadkowe i niezamierzone. APN PROMISE Sp. z o. o. dołożyła wszelkich starań, aby zapewnić najwyższą jakość tej publikacji. Jednakże nikomu nie udziela się rękojmi ani gwarancji. APN PROMISE Sp. z o. o. nie jest w żadnym wypadku odpowiedzialna za jakiekolwiek szkody będące następstwem korzystania z informacji zawartych w niniejszej publikacji, nawet jeśli APN PROMISE została powiadomiona o możliwości wystąpienia szkód. ISBN: Przekład: Leszek Biolik, Andrzej Bańkowski, Dorota Grabowska, Dorota Czubaszek Redakcja: Marek Włodarz Korekta: Magdalena Kalina-Swoboda Skład i łamanie: MAWart

3 Mojej żonie i dzieciom za miłość, wsparcie i nadzwyczajne umiejętności znoszenia klikania mojej klawiatury. iii

4 Spis treści Podziękowania... xiv Wprowadzenie... xv Dla kogo przeznaczona jest ta książka?... xv Struktura książki... xvi Konwencje stosowane w książce...xvii Dodatkowe zasoby...xvii Wsparcie techniczne...xviii 1 Omówienie administracji usług IIS Użytkowanie IIS 7.0: co należy wiedzieć na początku... 1 Omówienie architektury konfiguracji IIS Schemat konfiguracji IIS Globalny system konfiguracji IIS Wymagania sprzętowe IIS Usługi IIS 7.0 a system Windows...15 Narzędzia i techniki administracji sieci Web...16 Zarządzanie zasobami za pomocą najważniejszych narzędzi administracyjnych...16 Techniki administracji sieci Web Instalowanie usług IIS 7.0 w przedsiębiorstwie...23 Protokoły IIS HTTP i SSL...23 FTP...24 SMTP...25 Role usług IIS Omówienie funkcji i ról IIS Usługi ról dla serwerów aplikacji...33 Usługi roli dla stacji systemu Windows i serwerów sieci Web...37 Usługi ról dla serwerów, na których uruchomiono oprogramowanie SharePoint Services...48 Konfigurowanie usług IIS Instalowanie serwerów aplikacji...48 Instalowanie serwerów sieci Web...51 Instalowanie oprogramowania Windows SharePoint Services...52 Dodawanie lub usuwanie funkcji serwera sieci Web w systemie Windows Vista...55 Zarządzanie zainstalowanymi rolami i usługami ról...56 Przeglądanie skonfigurowanych ról i usług ról...56 Dodawanie lub usuwanie ról serwera...58 Przeglądanie i modyfikowanie usług ról na serwerach...59 v

5 vi 3 Administracja głównych funkcji usług IIS Korzystanie z usług IIS i adresów URL...61 Budowa architektury podstawowych funkcji usług IIS...64 Działanie witryny sieci Web...64 Korzystanie z aplikacji sieci Web i katalogów wirtualnych...64 Kontrolowanie dostępu do serwerów, witryn i aplikacji...65 Budowa architektury usług i przetwarzania...66 Informacje podstawowe o usługach i procesach IIS...66 Tryb izolacji procesu roboczego IIS...67 Działanie i używanie aplikacji usług IIS...71 Działanie i używanie aplikacji ASP.NET...72 Zarządzanie serwerami IIS: najważniejsze kwestie...74 Korzystanie z programu Internet Information Services (IIS) Manager...74 Włączanie i konfigurowanie administracji zdalnej...77 Uruchamianie, zatrzymywanie i ponowne uruchamianie wszystkich usług internetowych...79 Zarządzanie poszczególnymi zasobami w programie IIS Manager (Menedżer IIS)...81 Ponowne uruchamianie serwerów IIS...82 Zarządzanie usługami IIS...83 Uruchamianie, zatrzymywanie i wstrzymywanie usług IIS...84 Konfigurowanie uruchamiania usług...85 Konfigurowanie odzyskiwania usługi Zarządzanie usługami IIS 7.0 w wierszu poleceń...89 Używanie programu Windows PowerShell...89 Wprowadzenie do programu Windows PowerShell...89 Uruchamianie i używanie Windows PowerShell...90 Uruchamianie i używanie poleceń typu Cmdlets...91 Uruchamianie i używanie innych poleceń i programów narzędziowych...93 Używanie poleceń typu cmdlet...93 Polecenia cmdlet powłoki Windows PowerShell...93 Używanie parametrów polecenia Cmdlet...95 Opis błędów poleceń cmdlet...96 Używanie nazw zastępczych (alias) poleceń cmdlet...96 Używanie poleceń cmdlet w usługach IIS...97 Używanie narzędzia administracji wiersza poleceń usług IIS...99 Uruchamianie i korzystanie z narzędzia administracji wiersza poleceń IIS...99 Korzystanie z narzędzia administracji wiersza poleceń usług IIS Używanie poleceń IIS Używanie poleceń zarządzania konfiguracją Używanie poleceń zarządzania modułami Używanie poleceń zarządzania witryną Używanie poleceń zarządzania pulami aplikacji Używanie poleceń zarządzania aplikacją

6 vii Używanie poleceń zarządzania katalogiem wirtualnym Używanie poleceń programów narzędziowych Zarządzanie globalną konfiguracją usług IIS Poziomy konfiguracji i globalna konfiguracja Zarządzanie sekcjami konfiguracji Opracowywanie sekcji konfiguracji Określanie ustawień dla sekcji konfiguracji Modyfikowanie ustawień sekcji konfiguracji Blokowanie i odblokowanie sekcji konfiguracji Czyszczenie i ponowne ustawianie sekcji konfiguracji Moduły rozszerzeń usług IIS Kontrolowanie modułów macierzystych za pomocą plików konfiguracji Kontrolowanie modułów zarządzanych za pomocą plików konfiguracji Kontrolowanie zarządzanych programów obsługi za pomocą plików konfiguracji Użycie plików konfiguracji i schematu do instalowania niestandardowych modułów rozszerzeń Zarządzanie modułami Przeglądanie zainstalowanych macierzystych i zarządzanych modułów Instalowanie modułów macierzystych Włączanie modułów macierzystych Włączanie modułów zarządzanych Edycja konfiguracji macierzystych i zarządzanych modułów Wyłączanie macierzystych i zarządzanych modułów Odinstalowanie modułów macierzystych Współużytkowanie konfiguracji globalnej Korzystanie z udostępnionej konfiguracji Eksportowanie i udostępnianie konfiguracji globalnej Konfigurowanie witryn i katalogów sieci Web Nazewnictwo i identyfikacja witryn sieci Web Adresy IP i rozpoznawanie nazw Identyfikatory witryn sieci Web Utrzymywanie wielu witryn na jednym serwerze Sprawdzanie nazw komputera i adresu IP serwerów Sprawdzenie konfiguracji witryny Tworzenie witryn sieci Web Tworzenie witryny sieci Web: podstawy Tworzenie niezabezpieczonej witryny sieci Web Tworzenie zabezpieczonej witryny sieci Web Zarządzanie witrynami sieci Web i ich właściwościami Zarządzanie witrynami w programie IIS Manager Konfigurowanie puli aplikacji witryny i katalogu macierzystego

7 viii Konfigurowanie portów, adresów IP i nazw hostów używanych przez witryny sieci Web Ograniczenia dla połączeń przychodzących i określanie wartości limitów czasu Konfigurowanie parametru HTTP Keep-Alives (utrzymywanie aktywności HTTP) Konfigurowanie uprawnień dostępu w programie IIS Manager Zarządzanie identyfikatorem numerycznym witryny i stanem AutoStart Usuwanie witryn Tworzenie katalogów Struktura fizycznych i wirtualnych katalogów Sprawdzanie konfiguracji katalogu wirtualnego Tworzenie katalogów fizycznych Tworzenie katalogów wirtualnych Zarządzanie katalogami i ich właściwościami Włączanie i wyłączanie funkcji przeglądania katalogu Modyfikowanie właściwości katalogu Zmiana nazwy katalogów Modyfikowanie ścieżek, metod logowania i innych parametrów katalogów wirtualnych Usuwanie katalogów Dostosowywanie zawartości serwera sieci Web Zarządzanie zawartością sieci Web Otwieranie i przeglądanie plików Modyfikowanie właściwości plików Zmiana nazwy plików Usuwanie plików Przekierowanie żądań przeglądarki Przekierowywanie żądań do innych katalogów lub witryn Przekierowanie wszystkich żądań do innej witryny sieci Web Przekierowanie żądań do aplikacji Dostosowywanie przekierowania przeglądarki Dostosowywanie zawartości witryny sieci Web i nagłówków HTTP Konfigurowanie dokumentów domyślnych Konfigurowanie stopek dokumentów Konfigurowanie dołączanych plików Wygasanie zawartości i zapobieganie buforowaniu przez przeglądarkę Niestandardowe nagłówki HTTP Klasyfikacja zawartości i zasady prywatności Zwiększenie wydajności przy użyciu kompresji Konfigurowanie kompresji zawartości dla całego serwera

8 ix Włączanie lub wyłączanie kompresji zawartości dla witryn i katalogów Dostosowywanie komunikatów o błędach serwera sieci Web Kody stanu i komunikaty o błędach Zarządzanie ustawieniami dotyczącymi niestandardowych błędów Używanie typu MIME i konfigurowanie niestandardowych typów plików Działanie typu MIME Przeglądanie i konfigurowanie typów MIME Dodatkowe wskazówki dotyczące dostosowywania Użycie metody aktualizowania witryn do zarządzania przestojami Używanie stron przeskoku dla reklam Obsługa błędów 404 i zapobieganie ślepym uliczkom Uruchamianie aplikacji IIS Zarządzanie ustawieniami aplikacji ISAPI i CGI Działanie aplikacji ISAPI Konfigurowanie ograniczeń ISAPI i CGI Konfigurowanie filtrów ISAPI Konfigurowanie ustawień CGI Zarządzanie ustawieniami ASP Kontrolowanie działania ASP Dostosowywanie obsługi żądań ASP Optymalizacja buforowania ASP Dostosowanie wykonywania modelu COM Plus dla ASP Konfigurowanie stanu sesji dla stron ASP Konfigurowanie debugowania i obsługi błędów stron ASP Zarządzanie ustawieniami ASP.NET Konfigurowanie ustawień stanu sesji dla ASP.NET Konfigurowanie ustawień SMTP Konfigurowanie par klucz-wartość dla aplikacji ASP.NET Konfigurowanie ustawień dla stron i formantów ASP.NET Podłączenie do źródeł danych Zarządzanie ustawieniami platformy.net Framework Konfigurowanie dostawców.net Konfigurowanie poziomów zaufania.net Konfigurowanie profilów.net Konfigurowanie funkcji.net Roles Konfigurowanie funkcji.net Users Konfigurowanie kompilacji.net Konfigurowanie funkcji.net Globalization Zarządzanie aplikacjami, pulami aplikacji i procesami roboczymi Definiowanie niestandardowych aplikacji Zarządzanie niestandardowymi aplikacjami usług IIS Przeglądanie aplikacji Konfigurowanie ustawień domyślnych dla nowych aplikacji

9 x Tworzenie aplikacji Konwertowanie istniejących katalogów do aplikacji Zmiana ustawień aplikacji Konfigurowanie buforowania danych wyjściowych aplikacji Usuwanie aplikacji IIS Zarządzanie platformami ASP.NET i.net Framework Instalowanie platform ASP.NET i.net Framework Instalowanie aplikacji ASP.NET Odinstalowanie wersji platformy.net Pule aplikacji Wyświetlanie pul aplikacji Konfigurowanie ustawień domyślnych nowych pul aplikacji Tworzenie pul aplikacji Zmiana ustawień puli aplikacji Przypisywanie aplikacji do puli aplikacji Konfigurowanie tożsamości puli aplikacji Ręczne uruchamianie, zatrzymywanie i odtwarzanie procesów roboczych Konfigurowanie wielu procesów roboczych dla pul aplikacji Konfigurowanie odtwarzania procesów roboczych Automatyczne odtwarzanie związane z liczbą i czasem przetwarzania żądań Automatyczne odtwarzanie związane z wykorzystaniem pamięci Utrzymywanie dobrej wydajności i stanu aplikacji Konfigurowanie monitorowania CPU Konfigurowanie wykrywania awarii i przywracanie po awarii Zamykanie bezczynnych procesów roboczych Ograniczanie liczby żądań w kolejce Usuwanie pul aplikacji usług IIS Zarządzanie zabezpieczeniami serwera sieci Web Zarządzanie zabezpieczeniami systemu Windows Konta użytkowników i grup Podstawowe informacje na temat użytkowników i grup usług IIS Zarządzanie kontami logowania usług IIS Zarządzanie kontem Internet Guest Uprawnienia plików i folderów Stosowanie zasad grupy Zarządzanie zabezpieczeniami usług IIS Konfigurowanie mapowania obsługi aplikacji Ustawianie trybów uwierzytelnienia Ustawianie reguł autoryzacji dla dostępu do aplikacji Konfigurowanie ograniczeń adresów IPv4 i nazw domeny Zarządzanie funkcją delegowania i administracji zdalnej

10 xi 11 Zarządzanie usługami certyfikatów Active Directory i protokołem SSL Działanie protokołu SSL Stosowanie szyfrowania protokołu SSL Używanie certyfikatów SSL Siła szyfrowania SSL Active Directory Certificate Services Działanie Active Directory Certificate Services Instalowanie modułu Active Directory Certificate Services Uzyskiwanie dostępu w przeglądarce do modułu Certificate Services Uruchamianie i zatrzymywanie usług certyfikatów (Certificate Services) Tworzenie kopii zapasowej i przywracanie urzędu certyfikacji Konfigurowanie przetwarzania żądań certyfikatów Zatwierdzanie lub odmowa żądania certyfikatu Ręczne generowanie certyfikatów w przystawce Certification Authority Odwoływanie certyfikatów Przeglądanie i odnawianie certyfikatu głównego CA Tworzenie i instalowanie certyfikatów Tworzenie żądań certyfikatów Przekazywanie żądań certyfikatów do urzędów certyfikacji firm niezależnych Dostarczanie żądań certyfikatów do modułu Certificate Services Przetwarzanie oczekujących żądań i instalowanie certyfikatów witryn Używanie protokołu SSL Konfigurowanie portów protokołu SSL Dodawanie certyfikatu CA do magazynu głównego przeglądarki klienta Sprawdzanie prawidłowości włączenia protokołu SSL Rozwiązywanie problemów SSL Ignorowanie, akceptowanie i wymaganie certyfikatów klienta Wymaganie protokołu SSL dla całej komunikacji Dostrajanie wydajności, monitorowanie i śledzenie Monitorowanie wydajności i aktywności usługi IIS Powody monitorowania usług IIS Przygotowanie do monitorowania Wykrywanie i usuwanie błędów usług IIS Analizowanie dzienników dostępu Analizowanie dzienników zdarzeń systemu Windows Analiza dzienników śledzenia Monitorowanie wydajności i niezawodności usług IIS Korzystanie z konsoli niezawodności i wydajności Wybór liczników monitorowania

11 xii Dostrajanie wydajności serwera sieci Web Monitorowanie i dostrajanie wykorzystania pamięci Monitorowanie i dostrajanie wykorzystania procesora Monitorowanie i dostrajanie dyskowych operacji I/O Monitorowanie i dostrajanie pasma i połączeń sieci Metody zwiększania wydajności usług IIS Usuwanie niepotrzebnych aplikacji i usług Optymalizowanie wykorzystania zawartości Optymalizacja aplikacji ISAPI, ASP i ASP.NET Optymalizacja buforowania, kolejkowania i pul usług IIS Śledzenie dostępu użytkownika i rejestrowanie Statystyki śledzenia Format pliku dziennika NCSA Format pliku dziennika Microsoft IIS Rozszerzony format pliku dziennika W3C Rejestrowanie ODBC Scentralizowane rejestrowanie binarne Działanie funkcji rejestrowania Konfigurowanie rejestrowania Konfigurowanie rejestrowania dla serwera i dla witryny Konfigurowanie formatu pliku dziennika NCSA Konfigurowanie formatu pliku dziennika Microsoft IIS Konfigurowanie rozszerzonego formatu pliku dziennika W3C Konfigurowanie rejestrowania ODBC Konfigurowanie scentralizowanego rejestrowania binarnego Wyłączanie rejestrowania Tworzenie kopii zapasowych i odtwarzanie usług IIS Tworzenie kopii zapasowych konfiguracji usług IIS Kopie zapasowe konfiguracji usług IIS Zarządzanie historią konfiguracji usług IIS Wyświetlanie kopii zapasowych konfiguracji usługi IIS Tworzenie kopii zapasowych usług IIS Usuwanie kopii zapasowych konfiguracji usługi IIS Przywracanie konfiguracji serwera usług IIS Odbudowa uszkodzonych instalacji usług IIS Tworzenie kopii zapasowych i przywracanie plików serwera Włączanie funkcji Backup (Kopia zapasowa) Program Windows Server Backup Ustawianie podstawowych opcji wydajności Harmonogram kopii zapasowych serwera Tworzenie kopii zapasowych serwera Ochrona serwera przed awariami Odzyskiwanie plików i folderów Dodatek Moduły usług IIS Moduły macierzyste

12 xiii Wprowadzenie do modułów zarządzanych Opis modułów macierzystych usług IIS AnonymousAuthenticationModule BasicAuthenticationModule CertificateMappingAuthenticationModule CgiModule ConfigurationValidationModule CustomErrorModule CustomLoggingModule DefaultDocumentModule DigestAuthenticationModule DirectoryListingModule DynamicCompressionModule FailedRequestsTracingModule FastCgiModule FileCacheModule HttpCacheModule HttpLoggingModule HttpRedirectionModule IISCertificateMappingAuthenticationModule IpRestrictionModule IsapiFilterModule IsapiModule ManagedEngine ProtocolSupportModule RequestFilteringModule RequestMonitorModule ServerSideIncludeModule StaticCompressionModule StaticFileModule TokenCacheModule TracingModule UriCacheModule UrlAuthorizationModule WindowsAuthenticationModule Zarządzane moduły usług IIS AnonymousIdentificationModule DefaultAuthenticationModule FileAuthorizationModule FormsAuthenticationModule OutputCacheModule ProfileModule RoleManagerModule SessionStateModule UrlAuthorizationModule UrlMappingsModule WindowsAuthenticationModule Index...493

13 Rozdział 1 Omówienie administracji usług IIS 7.0 Na wstępie rozpoczniemy od przekazania złej wiadomości: usługi Internet Information Services (IIS) 7.0 są czymś innym, niż powszechnie się sądzi. Chociaż usługi IIS 7.0 są najnowszą wersją programu Internet Information Services, nie są tym, czym wydają się być. Usługi IIS w dużym stopniu przypominają swoich poprzedników, ale jest to mylące, ponieważ ich wewnętrzna architektura jest zupełnie inna. Zmian jest tak wiele, że w rzeczywistości byłoby lepiej, jeśli firma Microsoft nadałaby nową nazwę dla usług IIS 7.0. Tak więc należy zdawać sobie sprawę, że usługi IIS 7.0 zupełnie różnią się od poprzedników, co umożliwia użytkownikowi rozpoczęcie pracy z nowymi perspektywami i uzasadnionymi oczekiwaniami związanymi z poznaniem całego nowego pakietu metod. Sprawdzone zalety IIS także będą musiały oduczyć się stosowania niektórych starych sztuczek i to nie musi być tylko utrudnienie, to może okazać się największą przeszkodą w opanowaniu usług IIS 7.0. Program IIS 7.0 udostępnia podstawowe usługi umożliwiające działanie serwerów internetowych, aplikacji sieci Web i programu Microsoft Windows SharePoint Services. W całej książce określenie administracja sieci Web lub administracja sieci Web firmy Microsoft odnosi się zarówno do administracji IIS, administracji aplikacjami internetowymi, jak i do administracji Windows SharePoint Services. Podczas administrowania usługami Microsoft Web należy skoncentrować się na następujących kwestiach głównych: n Nowości i zmiany w IIS 7.0 n Sposób używania schematów i globalnej architektury konfiguracji IIS 7.0 n Sposób współpracy IIS 7.0 ze sprzętem n Sposób współpracy IIS z systemami operacyjnymi Windows n Dostępne narzędzia administracyjne n Techniki administracyjne, które można stosować do zarządzania i konserwacji IIS Użytkowanie IIS 7.0: co należy wiedzieć na początku Firma Microsoft w usługach IIS 7.0 w pełni zintegrowała platformy Microsoft ASP.NET i Microsoft.NET Framework. Inaczej niż w przypadku IIS 6, usługi IIS 7.0 przenoszą platformy ASP.NET i.net Framework na następny poziom poprzez zintegrowanie modelu ASP.NET umożliwiającego rozszerzanie działania (runtime extensibility model) z podstawową architekturą serwera, dzięki czemu projektanci stosując technologie ASP.NET i.net Framework mogą w pełni rozszerzać architekturę serwera. Bardziej ścisła integracja umożliwia w odniesieniu do wszystkich typów zawartości używanie istniejących funkcji ASP.NET, takich jak.net Roles, Session Management, Output Caching czy Forms Authentication. Usługi IIS 7.0 uogólniły model aktywacji procesu protokołu HTTP (Hypertext Transfer Protocol), wprowadzony w usługach IIS 6.0 wraz z pulami aplikacji i udostępniły ten model dla wszystkich protokołów poprzez niezależną usługę nazywaną Windows Process Activation Service, a projektanci mogą stosować adaptery protokołów WCF (Windows Communication 1

14 2 Vademecum administratora Internet Information Services (IIS) 7.0 Foundation), by wykorzystać możliwości tej usługi. Na początku warto również wiedzieć, że usługi IIS 7.0 zawierają składnik zgodności metabazy, który umożliwia działanie istniejących skryptów i aplikacji, ale nie używa metabazy do przechowywania informacji o konfiguracji. Zamiast metabazy usługi IIS 7.0 korzystają z rozproszonego systemu konfiguracji wraz z plikami konfiguracyjnymi specyficznymi dla aplikacji lub dla całego systemu, które opierają się na niestandardowym zestawie plików schematu języka XML (Extensible Markup Language). Te pliki schematów XML oprócz definiowania elementów i atrybutów konfiguracji, definiują wartości tych elementów i atrybutów, co umożliwia dokładną kontrolę sposobów konfigurowania i używania IIS. Firma Microsoft zbudowała system konfiguracji w oparciu o koncepcję modułów. Moduły są autonomicznymi składnikami, udostępniającymi podstawowe zestawy funkcji serwera IIS. Wraz z usługami IIS 7.0 firma Microsoft dostarcza ponad 40 niezależnych modułów. Moduły te albo są specyficzne dla usługi IIS 7.0 i korzystają z bibliotek Win32 DLL, albo są modułami zarządzanymi przez IIS 7.0, które używają bibliotek.net Framework Class Library zawartych w zestawie. Ponieważ wszystkie funkcje serwera zawarte są w modułach, dostępne funkcje można łatwo modyfikować poprzez dodawanie, usuwanie lub zastępowanie modułów serwera. Ponadto, optymalizując zainstalowane moduły w oparciu o sposób stosowania serwera IIS, można zwiększyć bezpieczeństwo poprzez zmniejszenie możliwości przeprowadzania ataków i można zwiększyć wydajność poprzez zmniejszenie zasobów wymaganych do uruchomienia podstawowych usług. Uwaga Ponieważ moduły i sposób ich używania są bardzo ważną częścią usług IIS 7.0, tematy te zostały dokładniej omówione w dalszej części książki. W rozdziale 2 Instalowanie usług IIS 7.0 w przedsiębiorstwie omówione zostały wszystkie dostępne moduły. W rozdziale 5 Zarządzanie globalną konfi guracją IIS zamieszczono szczegółowy opis instalacji i zarządzania modułami. Natomiast w dodatku Pełny wykaz modułów i schematów usług IIS 7.0 znaleźć można kompletny poradnik korzystania z modułów i schematów. Usługi IIS 7.0 są bardziej bezpieczne niż usługi IIS 6, ponieważ w odniesieniu do żądań wbudowana w nie została obsługa autoryzacji filtrowania i reguł bazujących na URL (Uniform Resource Locator). Istnieje możliwość skonfigurowania filtrowania żądań tak, aby podejrzane żądania były odrzucane poprzez przeglądanie adresów URL wysyłanych do serwera i filtrowaniu niepożądanych żądań. Użytkownik może skonfigurować reguły autoryzacji URL tak, aby wymagane było logowanie oraz może odmówić bądź zezwolić na dostęp do określonych adresów URL w odniesieniu do nazw użytkowników, ról platformy.net i metod żądania HTTP. W celu ułatwienia rozwiązywania problemów serwerów i aplikacji internetowych, usługi IIS 7.0 wyposażone zostały w nowe funkcje diagnostyczne, przeglądania żądań w czasie rzeczywistym i tworzenia raportów o błędach. Funkcje te pozwalają na: n Przeglądanie bieżącego stanu działania serwera. n Śledzenia niepomyślnych żądań przez podstawową architekturę serwera. n Uzyskanie szczegółowych informacji o błędach w celu wskazania przyczyn problemów. Usługi IIS 7.0 mają wiele innych nowych i rozszerzonych funkcji, a niektóre z nich są tak samo ważne, jak nowy zestaw narzędzi administracyjnych, wliczając w to nowe narzędzia graficzne, narzędzia wiersza poleceń i narzędzia tworzenia skryptów. Nowe graficzne narzędzia administracyjne korzystają z interfejsu podobnego do przeglądarki, dodają funkcje związane z delegowaniem administracji, związane z administracją zdalną poprzez protokół HTTPS (Secure HTTP) i z możliwościami rozszerzania poprzez niestandardowe składniki interfejsu użytkownika. Nowe narzędzia administracji bazujące na wierszu poleceń umożliwiają

15 Rozdział 1: Omówienie administracji usług IIS wykonywanie większości zadań konfiguracyjnych za pomocą pojedynczego wiersza tekstu polecenia. Przy użyciu ASP.NET można zarządzać konfiguracją IIS poprzez platformę.net Framework stosując interfejs programowy (API) Microsoft.Web.Administrators, natomiast skrypty można wykorzystywać do zarządzania konfiguracją usług IIS poprzez oprogramowanie dostawcy WMI (Windows Management Instrumentation) usług IIS 7.0. Ze względu na ogrom zmian dotychczasowa wiedza na temat usług IIS nie ma większego znaczenia lub jest przestarzała. Ale na końcu tunelu widać światło przypomina to pociąg przejeżdżający obok który jednak jest w naszym zasięgu. Zmiany usług IIS 7.0 są warte czasu i wysiłku poświęconego na zapoznanie się z nową architekturą i nowymi technikami wymaganymi do zarządzania serwerami sieci Web. Z czasem wzrastać będzie nasza zależność od oprogramowania ASP.NET i.net Framework, a im więcej poznamy informacji o sercu architektury.net IIS 7.0 tym lepiej będziemy przygotowani teraz i w przyszłości. W przypadku usług IIS 7.0 najważniejsze składniki będące częścią poprzednich wersji IIS nie są już dostępne lub działają w inny sposób, niż poprzednio. Ponieważ usługi IIS 7.0 nie korzystają z metabazy, aplikacje zaprojektowane dla usług IIS 6 nie będą działały przy użyciu IIS 7.0 bez przedsięwzięcia specjalnych działań. W celu uruchomienia aplikacji IIS 6 należy zainstalować funkcje obsługujące kompatybilność i metabazę. Aby zarządzać aplikacjami i funkcjami usług IIS 6, trzeba zainstalować moduł IIS 6 Manager, narzędzia tworzenia skryptów IIS 6 i zgodności IIS 6 WMI. Ponadto do usług IIS 7.0 nie zostały dołączone usługi protokołów POP3 (Post Office Protocol wersja 3) lub SMTP (Simple Mail Transfer Protocol). Korzystając z usług IIS 7.0 można wysyłać wiadomości z aplikacji internetowej przy użyciu składnika SMTP zawartego w ASP.NET. Program IIS Manager jest graficznym interfejsem użytkownika (GUI) dla zarządzania lokalnymi i zdalnymi instalacjami IIS 7.0. Aby skorzystać z programu IIS Manager do zdalnego zarządzania serwerem IIS należy zainstalować i uruchomić usługę WMSVC (Web Management Service) na serwerze IIS, który ma być zarządzany zdalnie. Usługa WMSVC jest również wymagana, jeśli administratorzy witryny lub aplikacji IIS chcą zarządzać funkcjami, których kontrola została im przekazana. Usługa WMSVC stanowi podstawę dla umożliwienia działania w sieci Web (HWC, Hostable Web Core), a dla administracji zdalnej działa jak autonomiczny serwer internetowy. Po zainstalowaniu i uruchomieniu usługi WMSVC na serwerze IIS, rozpoczyna się nasłuchiwanie na porcie 8172 wszystkich nieprzypisanych adresów IP dla czterech wymienionych poniżej typów żądań: n Żądania logowania Program IIS Manager wysyła żądania logowania do usługi WMSVC w celu zainicjowania połączenia. W środowisku HWC żądania logowania są obsługiwane przez Login.axd. W tym przypadku typem uwierzytelnienia jest NT LAN Manager (NTLM) lub Basic, w zależności od tego, co zostało wybrane podczas wprowadzania poświadczeń w oknie dialogowym połączenia. n Żądania pobrania kodu Jeśli proces logowania przebiegł pomyślnie, usługa WMSVC zwraca listę modułów interfejsu użytkownika (UI) dla połączenia. Każda strona programu IIS Manager dotyczy określonego modułu UI. Jeśli występuje moduł, którego nie zawiera program IIS Manager, nastąpi żądanie pobrania kodu binarnego modułu. Żądania pobrania kodu są obsługiwane przez Download.axd. n Żądania dotyczące zarządzania usługą (Management Service Requests) Po nawiązaniu połączenia interakcja użytkownika z programem IIS Manager wywołuje żądania związane z zarządzaniem usługą. Żądania te nakazują usługom modułu w usłudze WMSVC odczytywanie bądź zapisywanie danych konfiguracyjnych, danych o stanie

16 4 Vademecum administratora Internet Information Services (IIS) 7.0 działania i dostawcach na serwerze. Żądania dotyczące zarządzania usługą są obsługiwane przez Service.axd. n Żądania polecenia Ping (Ping Requests) Żądania Ping są wykonywane wewnątrz usługi WMSVC w odniesieniu do usług HWC. Żądania Ping są wykonywane przez Ping. axd w celu sprawdzenia, czy usługi HWC w dalszym ciągu mogą odpowiadać. Usługa WMSVC (Web Management Service) przechowuje w rejestrze okrojony zestaw wartości konfiguracyjnych. Każdorazowe uruchomienie usługi powoduje odświeżenie plików konfiguracyjnych sieci Web w następującym katalogu: %SystemRoot%\ServiceProfiles\ LocalService\AppData\Local\Temp\WMSvc. Dla wszystkich połączeń, w celu zwiększenia bezpieczeństwa usługa WMSVC żąda używania protokołu SSL (HTTPS). Dzięki temu dane przekazywane pomiędzy zdalnym klientem IIS Manager a usługą WMSVC są bezpieczne. Ponadto usługa WMSVC uruchamiana jest jako usługa lokalna (Local Service) przy ograniczonych uprawnieniach i zablokowanej konfiguracji. Takie podejście zapewnia, że podczas uruchamiania usługi HWC ładowany jest jedynie minimalny zestaw wymaganych modułów. Dodatkowe informacje na ten temat znaleźć można w rozdziale 3 Główne zadania administracyjne usług IIS 7.0. Uwaga Wyrażenie %SystemRoot% odnosi się do zmiennej środowiskowej SystemRoot. W systemie operacyjnym Windows jest wiele zmiennych środowiskowych, które są używane jako odniesienie do wartości specyfi cznych dla systemu bądź użytkownika. W niniejszej książce w odniesieniach do zmiennych środowiskowych używana jest składnia: %Nazwa_zmiennej%. Omówienie architektury konfiguracji IIS 7.0 Usługi IIS 7.0 są używane do publikowania informacji w sieciach typu intranet, extranet i w Internecie. Ponieważ dzisiejsze witryny sieci Web korzystają z odpowiednich mechanizmów, takich jak filtry ISAPI, ASP, ASP.NET, CGI czy.net Framework, usługi IIS łączą wszystkie te funkcje tworząc kompletne rozwiązanie. Na początku w odniesieniu do IIS 7.0 trzeba zapoznać się, w jaki sposób usługi IIS 7.0 korzystają ze schematu konfiguracyjnego i swojego globalnego systemu konfiguracji. W rozdziale 2 czytelnik zostanie zapoznany z dostępnymi funkcjami konfiguracji i związanymi z nimi modułami. Schemat konfiguracji IIS 7.0 Inaczej niż w przypadku usług IIS 6, gdzie większość informacji konfiguracyjnych przechowywanych jest w plikach matabazy, usługi IIS 7.0 mają zunifikowany system konfiguracyjny dla przechowywania ustawień serwera, witryny i aplikacji. Ustawienia te mogą być zarządzane za pomocą dołączonego zestawu kodu, skryptów interfejsu API i narzędzi zarządzania. Ustawienia te mogą być także zarządzane poprzez bezpośrednią edycję samych plików konfiguracyjnych. Bezpośrednia edycja plików konfiguracyjnych jest możliwa dzięki temu, że pliki używają języka XML i są otwartymi plikami tekstowymi bazującymi na wstępnie zdefiniowanym zestawie plików schematów XML.

17 Rozdział 1: Omówienie administracji usług IIS Uwaga Usługi IIS 7.0 zawsze pobierają wzorcowy stan konfi guracji z plików konfi guracyjnych, co stanowi zasadniczą różnicę w odniesieniu do usług IIS 6, gdzie stan wzorcowy był pobierany z konfi guracyjnej bazy danych przechowywanej w pamięci, która była okresowo zapisywana na dysku. Używanie schematów XML do określenia ustawień konfiguracji zapewnia, że odpowiednie pliki konfiguracji mają prawidłową strukturę plików XML i są łatwe do zmodyfikowania i utrzymywania. Z tego względu, że wartości konfiguracyjne są przechowywane w postaci prostych do zrozumienia ciągów tekstowych i wartości, łatwo jest nimi operować i ich używać. Poprzez analizę samego schematu można określić dokładny zestaw dopuszczalnych wartości dla każdej opcji konfiguracji. Usługi współużytkują ten sam schemat, co konfiguracja ASP.NET, dzięki czemu tak samo prosto jest zarządzać ustawieniami konfiguracji i je konserwować dla aplikacji ASP.NET. Na serwerze IIS pliki schematów przechowywane są w katalogu %SystemRoot%\System32\ Inetsrv\Config\Schema. Poniżej wymienione zostały cztery standardowe pliki schematów: n IIS_schema.xml Plik ten udostępnia schemat konfiguracji IIS. n ASPNET_schema.xml Plik ten udostępnia schemat konfiguracji ASP.NET. n FX_schema.xml Plik ten udostępnia schemat konfiguracji.net Framework (zapewnia funkcje, których nie oferuje schemat ASP.NET). n rscaext.xml Plik ten udostępnia schemat konfiguracji dla funkcjonalności Runtime Status oraz Control API (RSCA), dostarczając właściwości dynamicznych w celu uzyskania szczegółowych danych dotyczących działania. Usługi IIS automatycznie odczytują pliki schematu podczas uruchamiania puli aplikacji. Plik schematu IIS jest wzorcowym plikiem schematu. Wewnątrz pliku schematu IIS znajdują się sekcje dotyczące konfiguracji każdej głównej funkcji IIS, od funkcji tworzenia puli aplikacji po śledzenie niepomyślnych żądań. Plik schematu ASP.NET zbudowany jest na schemacie wzorca i stanowi jego rozszerzenie o sekcje konfiguracji specyficzne dla ASP.NET. W pliku schematu ASP.NET znaleźć można sekcje konfiguracji dotyczące różnych ustawień od identyfikacji anonimowej po bufor wyjściowy. Plik schematu FX zbudowany jest w oparciu o plik schematu ASP.NET i stanowi jego rozszerzenie. W pliku tym znaleźć można ustawienia konfiguracji dla ustawień aplikacji, ciągów połączeń, serializacji czasu i innych. Chociaż sekcje konfiguracji są również grupowane w celu łatwiejszego zarządzania, dla grup sekcji nie są określone definicje schematu. Jeśli zachodzi potrzeba rozszerzenia funkcji konfiguracji i opcji dostępnych w usługach IIS, można tego dokonać poprzez rozszerzenie schematu XML. Schemat może być rozszerzany zgodnie z poniższą procedurą ogólną: 1. Określić w pliku schematu XML potrzebne właściwości konfiguracji i kontenery sekcji. 2. Umieścić plik schematu w katalogu %SystemRoot%\System32\Inetsrv\Config\Schema. 3. Umieścić odniesienie do nowej sekcji w globalnym pliku konfiguracji IIS 7.0. Poniżej zaprezentowana została ogólna składnia pliku schematu: <! Tekst tej sekcji jest komentarzem. Standardową praktyką jest wprowadzanie informacji szczegółowych w komentarzach na początku pliku schematu. -->

18 6 Vademecum administratora Internet Information Services (IIS) 7.0 <configschema> <sectionschema name="configsection1"> </sectionschema> <sectionschema name="configsection2"> </sectionschema> <sectionschema name="configsection3"> </sectionschema> </configschema> Administrator czy projektant nie musi koniecznie posiąść umiejętności czytania i interpretowania schematów XML, aby z powodzeniem wykonać swoje zadanie. Ponieważ jednak przydatne jest posiadanie podstawowej wiedzy w tym zakresie, umożliwiającej zrozumienie schematów, w książce zamieszczony został opis najważniejszych kwestii. Wewnątrz plików schematów ustawienia konfiguracyjne są grupowane w zestawy odpowiednich funkcji zwanych sekcjami schematu. Schemat sekcji konfiguracji jest zdefiniowany w elemencie XML <sectionschema>. Na przykład funkcje odnoszące się do nasłuchu HTTP w usługach IIS zostały zdefiniowane za pomocą sekcji schematu nazwanej system.applicationhost/listeneradapters. W pliku IIS_schema.xml sekcja ta ma następującą postać: <sectionschema name="system.applicationhost/listeneradapters"> <collection addelement="add" > <attribute name="name" type="string" required="true" isuniquekey="true" /> <attribute name="identity" type="string" /> <attribute name="protocolmanagerdll" type="string" /> <attribute name="protocolmanagerdllinitfunction" type="string" /> </collection> </sectionschema> Ta definicja schematu oznacza, że element system.applicationhost/listeneradapters może zawierać zbiór elementów dodatkowych o następujących atrybutach: n name Unikatowy ciąg, który jest wymaganą częścią elementu dodatkowego. n identity Ciąg identyfikacyjny, który jest opcjonalną częścią elementu dodatkowego. n protocolmanagerdll Ciąg identyfikujący bibliotekę DLL menedżera protokołu. n protocolmanagerdllinitfunction Ciąg identyfikujący funkcje inicjujące bibliotekę DLL menedżera protokołu. Atrybut elementu jest albo opcjonalny, albo wymagany. Jeśli definicja atrybutu stanowi required= true, jak w przypadku atrybut name, atrybut jest wymagany i musi być dostarczony, jeśli powiązany z nim element jest używany. W przeciwnym razie atrybut traktowany jest jako opcjonalny i nie musi być wprowadzany podczas używania powiązanego elementu. Oprócz tego, że atrybuty mogą być wymagane, można także wymuszać stosowanie innych warunków: n isuniquekey Jeśli warunek ustawiony jest jako true, odnośna wartość musi być unikatowa. n encrypted Jeśli warunek ustawiony jest jako true, oczekuje się, że odnośna wartość zostanie zaszyfrowana.

19 Rozdział 1: Omówienie administracji usług IIS W przypadku niektórych atrybutów można zauważyć wartości domyślne, a także listę akceptowanych wartości ciągu i ich odpowiednich wartości wewnętrznych. W poniższym przykładzie, atrybut identitytype ma wartość domyślną NetworkService oraz listę innych możliwych wartości: <attribute name="identitytype" type="enum" defaultvalue="networkservice"> <enum name="localsystem" value="0"/> <enum name="localservice" value="1"/> <enum name="networkservice" value="2"/> <enum name="specificuser" value="3"/> </attribute> W celu ułatwienia operowania wartościami wprowadzane są ich zrozumiałe nazwy. Rzeczywista wartość używana przez IIS jest dostarczana w odnośnej definicji wartości. Przykładowo, jeśli zmienna identitytype określona została jako LocalService, rzeczywista wartość konfiguracji używana wewnętrznie przez IIS wynosi 2. Standardowa reguła określa, że nie można używać wymienionych wartości w połączeniu z innymi. Z tego względu atrybut identitytype może przyjmować tylko jedną możliwą wartość. W przeciwieństwie do tego, atrybuty mogą mieć flagi, których można używać łącznie w postaci kombinacji wartości. W poniższym przykładzie atrybut logeventonrecycle używa flag i ma domyślny zestaw flag, które są stosowane łącznie: <attribute name="logeventonrecycle" type="flags" defaultvalue="time, Memory, PrivateMemory"> <flag name="time" value="1"/> <flag name="requests" value="2"/> <flag name="schedule" value="4"/> <flag name="memory" value="8"/> <flag name="isapiunhealthy" value="16"/> <flag name="ondemand" value="32"/> <flag name="configchange" value="64"/> <flag name="privatememory" value="128"/> </attribute> Jak już było nadmienione, zrozumiałe nazwy ułatwiają operowanie wartościami. Rzeczywista wartość używana przez usługi IIS jest sumą połączonych wartości flag. W przypadku ustawienia Time, Requests, Schedule atrybut logeventonrecycle przyjmuje wartość 7 (1+2+4=7). Wartości atrybutów mogą także być sprawdzane. Usługi IIS przeprowadzają sprawdzenie wartości atrybutów podczas analizy XML i podczas wywoływania odnośnych API. W tabeli 1-1 wymienione zostały walidacje spotykane w schematach. Tabela 1-1 Podsumowanie typów walidacji atrybutów w schemacie XML IIS Typ walidacji Parametr walidacji Walidacja nie powiodła się, jeśli... validationtype= applicationpoolname validationtype= integerrange validationparameter= validationparameter= <minimum>, <maximum>[,exclude] Sprawdzana wartość zawiera te znaki: <>&\ Sprawdzana wartość jest poza zakresem [inside], wartości całkowite. Ciąg dalszy na stronie następnej

20 8 Vademecum administratora Internet Information Services (IIS) 7.0 Ciąg dalszy ze strony poprzedniej Tabela 1-1 Podsumowanie typów walidacji atrybutów w schemacie XML IIS Typ walidacji Parametr walidacji Walidacja nie powiodła się, jeśli... validationtype= nonemptystring validationtype= sitename validationtype= timespanrange validationtype= requiretrimmedstring validationparameter= validationparameter= validationparameter= <minimum>, <maximum>, <granularity> [,exclude] validationparameter= Sprawdzana wartość ma wartość ciągu, która nie jest określona. Sprawdzana wartość zawiera te znaki: /\.? Sprawdzana wartość jest poza zakresem [inside], w sekundach. Sprawdzana wartość zawiera znaki niewidoczne na początku lub na końcu wartości. Globalny system konfiguracji IIS 7.0 Usługi IIS używają globalnego systemu konfiguracji, który początkowo może wydawać się trudny do zrozumienia, jednak w miarę jego używania staje się coraz bardziej przejrzysty. Ponieważ próby ułatwiania przejścia przez ten temat nie mają sensu, lepiej wskoczyć od razu na głęboką wodę. Następnym kilku stronom warto poświęcić trochę czasu, ponieważ przeprowadzają przez najtrudniejsze fragmenty i umożliwiają poznanie dokładnie tego, co należy wiedzieć. Ustawienia konfiguracji IIS przechowywane są w plikach konfiguracji, które razem określają konfigurację działania usług IIS i powiązanych z nimi składników. Jednym ze sposobów myślenia o pliku konfiguracji jest traktowanie go jako kontenera stosowanych ustawień i ich wartości. Do serwera i aplikacji na nim uruchomionych stosować można wiele plików konfiguracyjnych. Ogólnie mówiąc, pliki konfiguracyjne zarządzane są na poziomie katalogu głównego platformy.net Framework, katalogu głównego serwera i różnych poziomów katalogów zawartości serwera sieci Web. Katalogi zawartości serwera sieci Web obejmują katalog główny samego serwera, katalogi główne konfigurowanych witryn sieci Web i podkatalogi wewnątrz witryn Web. Poziomy katalogu głównego i różne poziomy katalogów zawartości serwera sieci Web mogą być przedstawiane jako kontenery stosowanych ustawień i ich wartości. Jeśli czytelnik zna trochę programowanie obiektowe, może spodziewać się stosowania koncepcji dotyczących zależności nadrzędny-podrzędny i dziedziczenia i będzie miał rację. Poprzez dziedziczenie ustawienie zastosowane na poziomie nadrzędnym staje się ustawieniem domyślnym dla innych poziomów hierarchii konfiguracji. W skrócie oznacza to, że ustawienie zastosowane na poziomie nadrzędnym jest domyślnie przenoszone w dół do poziomu podrzędnego. Przykładowo, jeśli stosowane jest ustawienie na poziomie katalogu głównego serwera, ustawienie to jest dziedziczone przez wszystkie witryny Web na serwerze oraz przez wszystkie katalogi zawartości wewnątrz tych witryn. Kolejność dziedziczenia jest następująca: Katalog główny.net Framework Ô katalog główny serwera Ô katalog główny witryny Web Ô katalogi najwyższych poziomów Ô podkatalogi